Extraits pertinents :

[2] Selon les informations obtenues lors de cette enquête, l’entreprise demande à certains clients de présenter la pièce d’identité de leur choix devant une caméra située derrière une petite fenêtre. La pièce d’identité doit comprendre le nom et une photo de la personne, mais il n’est pas nécessaire qu’elle ait été émise par le gouvernement. Un détecteur de mouvement active une caméra lorsqu’une carte est déposée devant cette fenêtre et les informations se trouvant sur la carte sont filmées sur support numérique. L’entreprise recueille donc toutes les informations qui se trouvent sur la pièce d’identité présentée par le client.

[4] L’enquête révèle également que l’entreprise dispose de caméras de surveillance couvrant l’ensemble de l’établissement et d’une équipe dédiée à la sécurité. L’entreprise ne recueille que la copie des cartes d’identité de certains clients qui souhaitent entrer dans sa section Discothèque, clients qu’elle décrit comme « susceptibles de causer des problèmes ». Elle mentionne que ce sont généralement des individus qui présentent certaines caractéristiques.

[5] Si une personne refuse de présenter une pièce d’identité afin qu’elle soit enregistrée sur la bande vidéo, une personne qui l’accompagne peut présenter sa propre carte afin de se porter garante pour l’identifier. Sinon, l’accès à la section Discothèque lui est refusé, mais la personne peut néanmoins se diriger vers la section Resto Night-Club de l’entreprise si elle le désire.

[7] Elle précise que le recours à la consultation de ces enregistrements des pièces d’identité est une solution de dernier recours; l’intervention rapide du personnel de sécurité et l’appel aux policiers sont toujours privilégiés.

[9] L’enquête révèle également que l’entreprise n’informe pas les clients à qui elle demande de présenter une pièce d’identité afin de la filmer du motif pour lequel elle recueille ces renseignements personnels, de l’utilisation qui en sera faite et de l’endroit où seront détenues ces informations.

Analyse 

[16] La Loi sur le privé établit des règles relatives à la collecte, à l’utilisation, à la détention et à la communication de renseignements personnels à l’occasion de l’exploitation d’une entreprise3. En captant l’image d’une pièce d’identité au moyen d’une caméra et en l’enregistrant sur un serveur, l’entreprise crée un dossier sur chacune de ces personnes et recueille des renseignements personnels les concernant.

[19] En vertu de l’article 4 de la Loi sur le privé et de l’article 37 du Code civil du Québec5, une entreprise doit avoir un intérêt sérieux et légitime pour constituer un dossier sur autrui.

[20] Selon la Loi sur le privé, une entreprise peut uniquement recueillir les renseignements personnels nécessaires à l’objet d’un dossier :

5. La personne qui recueille des renseignements personnels afin de constituer un dossier sur autrui ou d’y consigner de tels renseignements ne doit recueillir que les renseignements nécessaires à l'objet du dossier

[22] Il s’ensuit également que l’entreprise ne peut refuser un bien ou un service à une personne qui refuse légitimement de fournir un renseignement personnel non nécessaire pour l’objet du dossier constitué à son sujet par l’entreprise :

9. Nul ne peut refuser d'acquiescer à une demande de bien ou de service ni à une demande relative à un emploi à cause du refus de la personne qui formule la demande de lui fournir un renseignement personnel sauf dans l'une ou l'autre des circonstances suivantes:

1° la collecte est nécessaire à la conclusion ou à l’exécution du contrat;

2° la collecte est autorisée par la loi;

3° il y a des motifs raisonnables de croire qu’une telle demande n'est pas licite. En cas de doute, un renseignement personnel est réputé non nécessaire.

[24] Le critère de nécessité applicable aux renseignements recueillis s’interprète à la lumière de la finalité poursuivie par l’organisme ou l’entreprise qui les collecte.

[25] Dans l’affaire Laval7, la Cour du Québec a rappelé l’objet des lois sur la protection des renseignements personnels, soit le droit au respect de la vie privée, un droit fondamental protégé par la Charte des droits et libertés de la personne8, et le principe voulant que les lois doivent être interprétées d’une manière qui favorise l’exercice des droits fondamentaux. Elle propose d’interpréter l’exigence de nécessité en la développant autour des deux volets du test élaboré par la Cour suprême dans l’arrêt Oakes9, bien que ce test visait plutôt à déterminer si une atteinte à un droit fondamental est justifiée dans le cadre d’une société libre et démocratique au sens des articles 1 de la Charte canadienne des droits et libertés10 et 9.1 de la Charte québécoise :

[44] […] Un renseignement sera donc nécessaire non pas lorsqu’il pourra être jugé absolument indispensable, ou au contraire simplement utile. Il sera nécessaire lorsque chaque fin spécifique poursuivie par l’organisme, pour la réalisation d’un objectif lié à ses attributions, sera légitime, importante, urgente et réelle, et lorsque l’atteinte au droit à la vie privée que pourra constituer la cueillette, la communication ou la conservation de chaque élément de renseignement sera proportionnelle à cette fin. Cette proportionnalité jouera en faveur de l’organisme lorsqu’il sera établi que l’utilisation est rationnellement liée à l’objectif, que l’atteinte est minimisée et que la divulgation du renseignement requis est nettement plus utile à l’organisme que préjudiciable à la personne. Autrement, le droit à la vie privée et à la confidentialité des renseignements personnels devra prévaloir.

[28] Selon le test proposé par la Cour du Québec, la nécessité de la collecte des renseignements sera démontrée si elle vise la réalisation d’un objectif lié à l’objet du dossier qui est légitime, important, urgent et réel, et si l’atteinte au droit à la vie privée des individus concernés que constitue cette collecte est proportionnelle à cette fin (lien rationnel entre l’objectif poursuivi et la collecte des renseignements, atteinte au droit minimale et collecte nettement plus utile à l’organisme que préjudiciable à l’individu).

[31] La Commission convient qu’il est légitime et important pour un propriétaire de bar de vouloir assurer un environnement sécuritaire à ses clients et de prévenir le vol, le vandalisme et les crimes contre la personne. Mais qu’en est-il du caractère urgent et réel de cet objectif?

[33] Toutefois, l’entreprise n’a fourni aucune précision supplémentaire concernant le caractère urgent et réel de cet objectif, malgré le fait qu’elle ait été informée expressément dans l’avis d’intention du 29 septembre 2014 qu’il lui appartenait de démontrer la nécessité de la collecte des renseignements personnels en cause.

[40] L’objectif poursuivi par l’entreprise diffère dans le présent dossier. Toutefois, l’enquête et les observations soumises par l’entreprise ne permettent pas à la Commission de conclure que l’atteinte au droit à la vie privée des personnes concernées est proportionnelle aux objectifs poursuivis.

[41] D’abord, la Commission souligne que l’entreprise détermine a priori, selon des critères flous et arbitraires, quels clients feront l’objet de cette collecte de renseignements personnels. Le lien rationnel entre la collecte de ces renseignements et l’objectif de dissuasion ou d’identification des personnes qui commettront potentiellement un méfait n’est pas démontré par l’entreprise.

[42] En effet, l’entreprise n’a pas expliqué le lien qu’elle établit entre ces personnes ou leurs caractéristiques et l’objectif poursuivi. De plus, la collecte des renseignements est motivée par l’appréhension de situations hypothétiques (événements impliquant les personnes ainsi ciblées) qui ne se réaliseront peutêtre jamais.

[43] Par ailleurs, l’entreprise n’a pas démontré en quoi les autres mesures en place, soit la présence de membres de son personnel assurant la sécurité et des caméras de surveillance dans la section Discothèque, sont insuffisantes pour atteindre les objectifs poursuivis.

[45] Quant à l’identification de clients ayant commis un méfait, la Commission conçoit qu’il est plus facile d’identifier ces personnes si l’entreprise a recueilli leurs renseignements d’identité. Toutefois, encore faut-il que l’auteur du méfait ait fait l’objet de cette collecte qui, rappelons-le, est effectuée de façon aléatoire.

[47] Il n’appartient pas à l’entreprise de recueillir des renseignements personnels à titre préventif ou afin de simplifier le travail éventuel des policiers. Accepter ce genre d’argument pour justifier la collecte systématique de renseignements d’identité au sujet de clients pourrait conduire à des abus.

[48] Ici encore, l’image des caméras de surveillance et l’intervention des agents de sécurité peuvent permettre d’atteindre cet objectif dans une grande majorité de situations. L’entreprise a d’ailleurs indiqué que le recours à la consultation des enregistrements des pièces d’identité est une solution de dernier recours et que l’intervention rapide du personnel de sécurité et l’appel aux policiers sont toujours privilégiés. La Commission ne croit pas que cela suffise à minimiser l’atteinte au droit à la vie privée des personnes concernées en l’espèce, atteinte qui débute au moment de la collecte des renseignements personnels.

[50] La Commission conclut que l’atteinte au droit à la vie privée induite par la collecte de renseignements personnels qu’implique la captation d’une image de la pièce d’identité de certains clients par une caméra, dans le contexte du présent dossier, est disproportionnée à l’égard de l’objectif de sécurité poursuivi par l’entreprise.

Conclusion 

[56] En résumé, la Commission conclut que la nécessité de la collecte de l’image d’une pièce d’identité de certains clients de l’entreprise n’est pas démontrée dans le présent dossier.

[57] À la lumière de l’enquête et des observations de l’entreprise, la Commission conclut que celle-ci a contrevenu à l’article 5 de la Loi sur le privé en recueillant des renseignements personnels non nécessaires à l’objet du dossier.

[58] Elle conclu également que l'entreprise a convenu à l'article 9 de la Loi sur le privé en refusant l’accès à la section Discothèque de son établissement aux clients qui refusent de lui fournir un renseignement personnel.

POUR CES MOTIFS, LA COMMISSION :

[59] ORDONNE à l’entreprise de cesser de recueillir l’image d’une pièce d’identité de ses clients;

[62] ORDONNE à l’entreprise d’informer la Direction de la surveillance de la Commission des mesures prises afin de respecter la présente décision, dans un délai de 60 jours de la réception de la présente décision.